Extrusion-Detection

개요

Extrusion Detection은 건물의 경비 체계를 네트워크 경비 체계에 빗댄 개념이다. 프레너미(Frenemy = Friend + Enemy)라는 말처럼, 내부와 외부 모두에서 위협이 발생할 수 있다는 침해 통계가 이 접근의 배경이 된다.

계기

기존 IDS/IPS는 몇 가지 한계를 안고 있다. 대부분의 조직은 IDS/IPS를 설치해두고 경보가 울리기만을 기다리지만, SSL로 패킷을 암호화한 공격이나 인서션(Insertion)과 우회 기법을 쓴 공격, IDS가 아예 탐지하지 못하는 제로데이(Zero-Day) 공격 앞에서는 무력하다.

개념 및 특징

기존 IDS는 OUTSIDE-IN 트래픽, 즉 외부에서 내부로 들어오는 트래픽을 분석해 침입 여부를 판단한다. 하지만 실제 악성코드는 내부에서 외부로 역으로 연결을 시도하는 경우가 많아, 인바운드 트래픽만 분석해서는 이런 악의적인 외부 연결을 탐지할 수 없다. 그래서 INSIDE-OUT 트래픽, 즉 내부에서 외부로 나가는 트래픽 분석이 함께 필요하다.

보안 원칙(Security Principles)

몇몇 침입자는 방어자보다 똑똑하며, 침입 방지는 결국 실패한다는 전제를 인정하는 데서 방어 전략이 시작된다.

방어 가능한 네트워크(Defensible Network)

방어 가능한 네트워크는 네 가지 요건을 갖춰야 한다. 관찰은 네트워크 트래픽을 분석할 수 있어야 한다는 것이고, 제어는 네트워크 안에서 자유로운 행동이 제한되어야 한다는 것이며, 최소화는 최소한의 서비스와 최소한의 사용자 측 응용만 제공되어야 한다는 것이고, 현행화는 현재 상태가 지속적으로 유지되고 개선되어야 한다는 것이다.

관찰(Monitoring)

관찰은 침입을 탐지하고 대응하고 경고하기 위한 정보를 수집·분석·강화하는 과정이다. 여기에는 네 가지 데이터가 쓰인다. 경고 데이터는 관찰한 네트워크 이벤트의 특성과 관련해 소프트웨어 제품이 생성한 판단 자료로, 이상행위나 시그니처 같은 전통적인 IDS 경보 데이터가 여기 속하며 관리자가 의심스러운 이벤트를 분석하는 데 도움을 준다. 통계 데이터는 정상 상태에서 유도된 네트워크 활동으로, 총합된 이벤트들의 고수준 관점 정보(P2P 클라이언트가 점유한 네트워크 부하율, 대역폭 점유율, 특정 포트로의 연결 시도 횟수 등)를 제공한다. 세션 데이터는 두 시스템 사이에 오간 패킷을 요약한 정보(Flow, Stream, Conversations)로, 내용이나 암호화 여부와 무관하게 함축된 정보를 담는다. 전체 데이터는 헤더와 응용 계층 정보를 포함한 네트워크상의 모든 패킷으로, 침입자가 TCP 헤더나 응용 계층 필드의 임의 비트에 의존하는 은닉 채널(Covert Channel)을 쓰더라도 전체 데이터를 수집해두면 증거를 확보할 수 있다. 다만 저장 비용이 크다는 대신 세부적인 분석이 가능하다.

제어(Controlling)

OUTSIDE-IN 방어 전략은 한계가 뚜렷하다. 이 전략을 위해 설계된 침입차단시스템을 일단 통과하고 나면 OUTBOUND 활동은 오히려 자유로워지고, 서버 측 공격 대응에만 집중된 나머지 사용자 측 위협은 방어하거나 탐지하지 못한다.

최소화(Minimizing)

최소화는 조직의 임무에 불필요한 서비스와 응용을 제거하는 과정이다. 서비스와 응용이 많아질수록 보호는 그만큼 어려워지므로, 소프트웨어를 설치할 때도 최소한의 기능만 수행하도록 선택적으로 설치하는 것이 좋다. 최소화 과정은 서버에 설치된 응용들을 목록화한 뒤, 아무에게도 필요하지 않은 응용을 하나씩 제거해나가는 방식으로 진행한다.

현행화(Current)

현행화는 방어 가능한 네트워크의 마지막 단계이자, 조직 입장에서 가장 해결하기 어려운 과제다. 최신 서비스와 응용을 계속 운영하도록 보장하는 것이 핵심으로, 지속적인 패치를 통해 응용과 서비스를 최신 상태로 유지하고, 내부망에서 쓰는 시스템도 함께 최신 상태로 관리해야 한다.